CVE-2023-28432 MinIO 信息泄露漏洞

1. MinIO简介

微信公众号搜索：南风漏洞复现文库
南风网络安全公众号首发

MinIO是美国MinIO公司的一款开源的对象存储服务器， 是一款高性能、分布式的对象存储系统. 它是一款软件产品, 可以100%的运行在标准硬件。即X86等低成本机器也能够很好的运行MinIO。MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息。泄露的信息中包含登录账号密码。

2.漏洞描述

MinIO是美国MinIO公司的一款开源的对象存储服务器。该产品支持构建用于机器学习、分析和应用程序数据工作负载的基础架构。 MinIO 存在信息泄露漏洞，该漏洞源于在集群部署中MinIO会返回所有环境变量，导致信息泄露。

CVE-2023-28432
CNNVD-202303-1795

3.影响版本

2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

4.fofa查询语句

banner=“MinIO” || header=“MinIO” || title=“MinIO Browser”

5.漏洞复现

漏洞链接：http://xxx.com/minio/bootstrap/v1/verify
注意数据包使用post的方式

利用泄露的MINIO_ROOT_USER 和MINIO_ROOT_PASSWORD 值登录系统

6.POC&EXP

关注公众号 南风网络安全 并回复 南风漏洞复现文库 即可获得该POC工具下载地址：

7.整改意见

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q